Sauvegarde informatique entreprise : guide 3-2-1 et solutions PME 2026

Pourquoi la sauvegarde est devenue critique en 2026

La sauvegarde informatique n’est plus un sujet cantonné aux équipes IT. En 2026, c’est un sujet de direction générale, au croisement de trois pressions simultanées : la hausse des attaques par ransomware (+38 % sur un an en France selon l’ANSSI), le durcissement réglementaire avec la directive NIS2, et l’explosion des volumes de données — triplés en cinq ans pour une PME française moyenne.

Une sauvegarde, c’est beaucoup plus qu’une copie de fichiers. C’est la dernière ligne de défense quand tout le reste a échoué : l’antivirus a manqué la menace, le pare-feu n’a pas vu l’intrusion, un salarié a cliqué sur un lien de phishing. Sans sauvegarde fonctionnelle, la facture moyenne d’un incident ransomware dépasse 250 000 euros pour une PME française, sans compter les 6 à 12 semaines de productivité perdue.

La règle du 3-2-1 : le standard international

La règle du 3-2-1, popularisée par Peter Krogh et reprise par l’ANSSI et le CERT-FR, constitue le socle de toute stratégie de sauvegarde professionnelle. Elle tient en trois chiffres :

• 3 copies — l’original + 2 sauvegardes. Une seule sauvegarde ne suffit jamais, car elle peut échouer au moment critique.
• 2 supports différents — pour se prémunir des défaillances matérielles corrélées (ex. deux disques du même lot qui lâchent simultanément).
• 1 copie hors site — pour résister aux sinistres physiques (incendie, dégât des eaux, vol) qui détruisent l’ensemble du local.

En 2026, de nombreux experts recommandent d’aller plus loin avec la règle du 3-2-1-1-0 : s’ajoutent 1 copie hors-ligne (air-gap), indispensable contre les ransomwares, et 0 erreur constatée lors des tests de restauration. C’est cette dernière version qui est demandée pour les audits de conformité NIS2.

Les types de sauvegarde : complète, incrémentale, différentielle

Pour une PME, le schéma le plus répandu combine une sauvegarde complète hebdomadaire (généralement le week-end) avec des sauvegardes incrémentales quotidiennes en semaine. Cette organisation limite la fenêtre d’exposition à 24 heures tout en maîtrisant les temps de traitement et l’espace de stockage.

Où stocker ses sauvegardes : local, cloud, hybride

Stockage local (NAS, SAN, bandes LTO)

Un NAS (Network Attached Storage) reste la brique de base dans la majorité des PME. Les modèles professionnels (Synology, QNAP, TrueNAS) offrent gestion des snapshots, réplication, chiffrement et déduplication. Coût : 1 500 à 6 000 euros à l’achat, durée de vie 5 à 7 ans. Avantage : restauration très rapide. Inconvénient : vulnérable en cas de sinistre local ou d’attaque latérale.

Sauvegarde cloud (SaaS)

Des solutions comme Veeam Cloud Connect, Acronis Cyber Protect, Datto ou les offres « backup as a service » des hébergeurs français (OVHcloud, Outscale, Scaleway) proposent un stockage distant géré. Tarif typique : 0,02 à 0,08 €/Go/mois. Avantage : externalisation totale, hors site par construction, chiffrement en transit et au repos. Inconvénient : dépendance à la bande passante et au fournisseur.

Sauvegarde hybride

La combinaison gagnante pour 80 % des PME françaises : un NAS local pour des restaurations éclair, complété par une réplication cloud pour l’externalisation et la résilience. C’est la configuration recommandée par défaut par la majorité des prestataires en infogérance. Les données critiques font l’aller-retour en continu ; les données froides sont archivées sur un stockage objet économique (S3 Glacier, Scaleway C14).

Construire un plan de sauvegarde en 6 étapes

1. Cartographier les données

Impossible de sauvegarder ce qu’on n’a pas identifié. Recensez toutes les sources : serveurs de fichiers, bases de données, messagerie (Microsoft 365, Google Workspace), applications métier (ERP, CRM, comptabilité), postes critiques, VM, conteneurs. Classez chaque source par criticité (vitale, importante, secondaire) et par sensibilité (personnelle, confidentielle, publique).

2. Définir RPO et RTO

Deux indicateurs à fixer pour chaque catégorie de données :

• RPO (Recovery Point Objective) — quantité maximale de données que vous acceptez de perdre. Si votre RPO est de 1 heure, vous devez sauvegarder au minimum chaque heure.
• RTO (Recovery Time Objective) — temps maximal toléré pour remettre un système en ligne. Un RTO de 4 heures impose un dispositif de restauration rapide.

Ces deux valeurs sont le cœur de votre plan de reprise d’activité (PRA/PCA). Elles conditionnent le choix des technologies et le budget.

3. Choisir les technologies adaptées

À RPO et RTO fixés, les options techniques se déduisent. RPO faible et RTO court appellent de la réplication temps réel (RAID, DRBD, snapshots ZFS, hyperconvergence). Un RPO de 24 heures permet une sauvegarde quotidienne classique, moins coûteuse.

4. Mettre en place l’immuabilité et l’air-gap

Les ransomwares modernes cherchent activement à détruire les sauvegardes avant de déclencher le chiffrement. Deux garde-fous indispensables :

• Sauvegardes immutables — verrouillées en écriture pendant une durée définie (WORM, Object Lock S3). Impossible de les supprimer ou chiffrer, même avec les droits admin.
• Air-gap — une copie physiquement déconnectée du réseau (bande LTO stockée en coffre, disque externe rotatif, vault cloud indépendant).

5. Chiffrer les sauvegardes

Les sauvegardes sont une cible de choix pour l’exfiltration. Le chiffrement au repos (AES-256) est devenu standard. Pour les données personnelles et de santé, c’est une obligation RGPD. Les clés de chiffrement doivent être conservées séparément (coffre-fort cloud, HSM).

6. Tester, tester, tester

Une sauvegarde non testée n’est pas une sauvegarde. Les statistiques sont sans appel : une restauration sur trois échoue la première fois (corruption, incompatibilité de version, mot de passe perdu). Un test de restauration complet doit être réalisé tous les trimestres au minimum, et documenté. La CNIL et l’ANSSI peuvent demander ces PV lors d’un contrôle.

Les 7 erreurs les plus fréquentes

• Confondre synchronisation et sauvegarde — OneDrive et Google Drive sont des outils de collaboration, pas des solutions de sauvegarde. Ils ne protègent pas contre la suppression, le chiffrement ou la corruption.
• Ne pas sauvegarder Microsoft 365 ou Google Workspace — contrairement à une idée reçue, Microsoft et Google ne sauvegardent pas vos données longtemps. Leurs SLA prévoient 30 à 93 jours maximum. Au-delà, la récupération est perdue. Une solution tierce (Veeam, AvePoint, Datto) est nécessaire.
• Laisser les sauvegardes accessibles depuis le réseau principal — une sauvegarde visible depuis Windows avec un compte admin sera chiffrée lors d’un ransomware. L’isolation réseau est obligatoire.
• Ne jamais tester — 58 % des entreprises ne testent jamais leurs sauvegardes. Lors d’un incident réel, elles découvrent trop tard que la chaîne est rompue.
• Ne pas couvrir les postes de travail — 35 % des données métier se trouvent sur des ordinateurs portables, hors du serveur central.
• Oublier les bases de données et les applications SaaS — une copie de fichiers ne suffit pas pour restaurer une base SQL cohérente. Il faut des dumps applicatifs planifiés.
• Conserver un seul jeu de sauvegardes récent — une infection par ransomware latente peut rester dormante 30 à 60 jours. Garder une rétention longue (6 à 12 mois) permet de revenir avant la contamination.

Combien coûte une solution de sauvegarde pour une PME ?

Ces montants incluent le logiciel, le stockage et un support de base. S’ajoutent généralement 1 à 3 jours/an de supervision par un prestataire pour le paramétrage fin, les tests de restauration et la gestion des incidents.

Obligations réglementaires à connaître

Trois textes encadrent directement la sauvegarde en entreprise :

• RGPD (2018) — article 32 impose des mesures techniques et organisationnelles garantissant la disponibilité et la restauration des données personnelles. Les tests réguliers sont attendus.
• Directive NIS2 (2026) — impose aux entités essentielles et importantes la mise en place de plans de sauvegarde et continuité, avec tests documentés. Sanctions jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires.
• DORA (2025) — pour le secteur financier et ses sous-traitants IT, exige des tests de résilience opérationnelle incluant des scénarios de restauration.

Au-delà des textes, les assureurs cyber conditionnent désormais leur couverture à la mise en œuvre effective de sauvegardes 3-2-1 avec immutabilité. Une cyber-assurance peut être refusée ou fortement majorée sans ces garanties.